Расследование инцидентов

Атака случилась. Файлы зашифрованы, данные утекли, или в сети обнаружен чужой — что дальше? Первый инстинкт — переустановить системы и «начать с чистого листа».

Это уничтожает доказательства и не отвечает на главный вопрос: как злоумышленник попал внутрь и что именно он взял.

Специалисты КРЕДО-С подключаются в течение 4 часов. Первый шаг — консервация цифровых доказательств: снимаем образы дисков скомпрометированных систем, сохраняем дампы оперативной памяти, извлекаем логи. Всё документируется по процедурам, обеспечивающим юридическую значимость — материалы примет суд и правоохранительные органы.

Анализируем артефакты: ищем следы вредоносного ПО, аномальные сетевые соединения, несанкционированные изменения файлов, подозрительные учётные записи. Восстанавливаем точку первоначального проникновения, маршрут продвижения по сети, момент и объём эксфильтрации данных.

Вектор атаки и техники злоумышленника описываем через фреймворк MITRE ATT&CK — это позволяет атрибутировать атаку известным группировкам и сравнить с базой предыдущих инцидентов. Оцениваем масштаб: какие системы затронуты, какие данные украдены или повреждены, есть ли признаки сохраняющегося присутствия.

Итог расследования — детальный отчёт: хронология инцидента, технические детали, оценка ущерба, конкретный план усиления защиты. Для субъектов КИИ формируем пакет документов для уведомления НКЦКИ по 187-ФЗ. При утечке ПДн — данные для уведомления Роскомнадзора по 152-ФЗ.

Выявленные уязвимости учитываются при расчёте КЗИ по приказу ФСТЭК №117 — устранение причин инцидента повышает показатель при следующей оценке. Лицензия ФСТЭК с 2007 года, ФСБ с 2009, более 33 лет в информационной безопасности.